AI Act : comment préparer la conformité de vos systèmes d'intelligence artificielle
Ce que le Règlement (UE) 2024/1689 impose et à qui
Le règlement (UE) 2024/1689 dit AI Act établit des règles harmonisées pour les systèmes d'intelligence artificielle commercialisés ou utilisés dans l'Union européenne. Ce texte distingue deux catégories d'acteurs : le fournisseur, qui conçoit ou commercialise un système d'IA, et le déployeur, qui l'utilise dans un contexte professionnel. Les obligations diffèrent selon cette distinction. Le texte classe les systèmes d'IA en quatre niveaux de risque : inacceptable (usage interdit), haut risque (obligations documentaires complètes), risque limité (obligations de transparence), et risque minimal. Optivalue.ai guide les déployeurs et les fournisseurs dans l'inventaire de leurs systèmes, leur classification selon le règlement, et la constitution du dossier documentaire exigé pour les systèmes à haut risque. Le calendrier d'application du règlement (UE) 2024/1689 est progressif ; les obligations s'appliquent par catégorie de risque selon les dates fixées par le texte.
Classification des systèmes d'IA : haut risque, risque limité, usage général
La classification d'un système d'IA selon le règlement (UE) 2024/1689 détermine l'ensemble des obligations applicables. Les systèmes à haut risque sont listés à l'annexe III du règlement ; ils couvrent notamment les domaines de la biométrie, des infrastructures critiques, de l'éducation, de l'emploi, des services essentiels et de la justice. Un système d'IA à usage général, comme un grand modèle de langage, répond à des obligations spécifiques définies au chapitre V du règlement. Le premier travail d'une organisation est d'inventorier l'ensemble de ses systèmes d'IA utilisés ou développés, puis de déterminer pour chacun son niveau de risque au regard des annexes du texte. Cet inventaire est la condition préalable à toute démarche documentaire.
Obligations documentaires pour les systèmes à haut risque
Un système d'IA classifié à haut risque selon le règlement (UE) 2024/1689 impose plusieurs obligations documentaires au déployeur et au fournisseur. Le fournisseur doit établir un système de management de la qualité, rédiger une documentation technique, mettre en place une journalisation automatique des événements, rédiger des instructions d'utilisation, et enregistrer le système dans la base de données européenne prévue à l'article 71. Le déployeur doit utiliser le système conformément aux instructions, assurer la supervision humaine, tenir un registre des journaux de bord générés, et réaliser une évaluation des risques liés aux droits fondamentaux pour certains traitements. Le RGPD s'applique aux systèmes d'IA qui traitent des données personnelles ; les deux référentiels doivent être gérés conjointement.
Gouvernance IA : nommer un responsable et structurer le registre
La gouvernance IA commence par une décision organisationnelle : désigner un responsable de la conformité AI Act. Ce responsable coordonne l'inventaire des systèmes, pilote la classification, supervise la documentation et assure la liaison avec les équipes techniques, juridiques et métiers. Le règlement (UE) 2024/1689 exige que les fournisseurs tiennent une documentation technique à jour pour chaque système à haut risque, et que les déployeurs maintiennent des journaux de bord pendant une durée fixée par le texte. Un registre centralisé des systèmes d'IA permet de suivre leur statut de conformité, leurs dates de révision documentaire et les incidents survenus. La cartographie des risques liés aux systèmes d'IA à haut risque s'intègre dans ce dispositif de gouvernance.
Comment un logiciel de gouvernance IA couvre les obligations du texte
Un logiciel de gouvernance IA structure les obligations du règlement (UE) 2024/1689 en un référentiel documentaire unique. Il prend en charge l'inventaire des systèmes d'IA, leur classification par niveau de risque, la gestion des dossiers documentaires pour les systèmes à haut risque, et le suivi des incidents. Il fournit également les formulaires de formation à la maîtrise de l'IA, obligation prévue à l'article 4 du règlement pour les personnes utilisant des systèmes d'IA au nom d'un déployeur. Optivalue.ai vérifie la complétude de chaque dossier documentaire selon les exigences du règlement (UE) 2024/1689, en signalant les sections manquantes ou périmées. Cette vérification continue réduit le risque de non-conformité lors d'un contrôle par une autorité de surveillance du marché.
FAQ
Qui est concerné par le règlement (UE) 2024/1689 ?
Le règlement (UE) 2024/1689 concerne tout fournisseur mettant sur le marché ou en service un système d'IA dans l'Union européenne, et tout déployeur utilisant un système d'IA dans un contexte professionnel situé dans l'Union. Les obligations varient selon le rôle et le niveau de risque du système concerné. Les importateurs et distributeurs de systèmes d'IA sont également soumis à des obligations spécifiques définies par le texte.
Comment savoir si un système d'IA est à haut risque ?
L'annexe III du règlement (UE) 2024/1689 liste les domaines et cas d'usage donnant lieu à une classification à haut risque. Ces domaines incluent notamment la biométrie, les infrastructures critiques, les systèmes éducatifs ou de formation, l'emploi et la gestion des travailleurs, les services essentiels, l'application de la loi, la migration et le contrôle des frontières, et la justice. Un système utilisé hors de ces domaines peut relever d'un risque limité ou minimal, avec des obligations réduites.
Qu'est-ce qu'un système d'IA à usage général au sens de l'AI Act ?
Un système d'IA à usage général (GPAI) est un système formé sur de grandes quantités de données, capable d'exécuter un large éventail de tâches. Le chapitre V du règlement (UE) 2024/1689 impose aux fournisseurs de ces systèmes de rédiger une documentation technique, de respecter les règles du droit d'auteur lors de l'entraînement, et de publier un résumé des données d'entraînement. Les fournisseurs de modèles à risque systémique supportent des obligations renforcées.
Quand les obligations de l'AI Act entrent-elles en vigueur ?
Le règlement (UE) 2024/1689 prévoit un calendrier d'application progressif. Les premières interdictions concernant les systèmes à risque inacceptable s'appliquent selon les délais fixés dans le texte. Les obligations pour les systèmes à haut risque entrent en vigueur à des dates ultérieures fixées par le règlement. Les fournisseurs de systèmes d'IA à usage général et les déployeurs doivent vérifier les dates exactes dans le texte officiel publié au Journal officiel de l'Union européenne.
Quelle est la différence entre fournisseur et déployeur dans l'AI Act ?
Le fournisseur est l'entité qui développe un système d'IA et le met sur le marché sous son propre nom, qu'elle l'ait conçu elle-même ou qu'elle l'ait fait concevoir. Le déployeur est l'entité qui utilise un système d'IA sous sa propre autorité dans un contexte professionnel. Cette distinction est centrale dans le règlement (UE) 2024/1689 car elle détermine à qui incombent les obligations de documentation technique, d'enregistrement, de supervision et de notification d'incidents.
Découvrez comment Optivalue.ai structure la gouvernance IA de votre organisation
Haut de page